מנהל אבטחת המידע של חברה ישראלית קיבל ממערך הסייבר כלי לאיתור נוזקה שהתגלתה ברשת שלו, ולפי כתב האישום שהוגש השבוע הוא זה שהחדיר אותה מלכתחילה, והשתמש בכלי כדי לכתוב גרסה שתחמוק ממנו. זה הסיפור שסוגר את השבוע. לצידו נכנסו לאתר עוד 45 כתבות: חבילת התיקונים הגדולה בתולדות מיקרוסופט, שתי חולשות יום-אפס באותו רכיב ב-Chrome בתוך חמישה ימים, וכמה מקרים שבהם סוכני AI עשו את עבודת התוקף במקומו.
הכלי נשלח כדי לאתר, ושימש כדי להתחמק
פרקליטות המדינה הגישה כתב אישום ב-11 סעיפים נגד מיכאל בר, בן 43 מאשקלון, ששימש CISO בחברה ישראלית. לפי הטענה הוא חדר ל-26 חברות והפעיל מרחוק מצלמות מחשב בבתי עובדות. כתב האישום ומה שקדם לו מתאר בדיוק את התרחיש שארגונים הכי פחות ערוכים לו, כי כל מנגנון בקרת גישה מניח בשקט שמי שמחזיק במפתחות נמצא בצד שלכם. אלה בינתיים טענות של התביעה, ובית המשפט עוד לא אמר בהן דבר.
הקוד מה-SMS הוא היעד, לא המכשול
מערך הסייבר הלאומי ורשות המסים פתחו עמוד שאליו אפשר להזין קישור או הודעה חשודים ולקבל תשובה אם הרשות באמת שלחה אותם, ויומיים אחר כך יצאה אזהרה מגל מסרונים על דוח תנועה שמובילים לעמוד תשלום מזויף. שני מחקרים מהשבוע מראים למה הגל הזה שווה לתוקפים את הטרחה. חברת מחקר גרמנית מיפתה כ-119 אלף אתרי חנויות מזויפים שמעתיקים קטלוגים של מותגים אמיתיים, ובקופה מבקשים גם את קוד האישור החד-פעמי מהבנק ומעבירים אותו הלאה תוך שניות. שירות פישינג מושכר הלך צעד רחוק יותר והזריק לדף המזויף קוד שמשבית דווקא את מפתחות האבטחה, השיטה היחידה שעמדה בפניו, כדי לדחוף את המשתמש בחזרה אל הקוד ב-SMS. 258 ארגונים, יותר מ-5,000 רשומות של פרטי אימות ל-Microsoft 365.
ה-AI כבר לא רק כותב את המייל
ראש מערך הסייבר כינס את בכירי התעשייה והציג מספרים מתרחישים שהמערך בדק בעצמו: כלי AI השלימו לבדם 28 מתוך 32 שלבים בשרשרת תקיפה, והמעבר מחדירה להתפשטות ברשת התקצר לכ-27 שניות. המספרים הם של המערך ואף גורם חיצוני לא אימת אותם, ולצידם הודעה על הקמת יחידת התערבות לאומית. מהשטח הגיעו באותם ימים שתי הדגמות: יחידת מודיעין האיומים של גוגל תיארה איך קבוצה איראנית ממשלתית נעזרת ב-Gemini כדי לאתר יעדים ולנסח את הפנייה בשפה המקומית, וחוקרי GreyNoise ו-Blackpoint תיעדו תוקף יחיד שהריץ מאות סוכני AI נגד 440 שרתי הדפסה ב-395 ארגונים, שבע דקות מהשרת הראשון ועד שליטה בדומיין. בצד השני של אותה מגמה, חוקר בצ'ק פוינט מצא ערוץ נסתר שחיבר בין סביבות ההרצה של שני משתמשי ChatGPT, ו-Okta מצאה בקובץ שהופץ בטלגרם 1,843 כרטיסי כניסה חיים לשירותי AI וענן, כאלה שנכנסים איתם בלי סיסמה ובלי קוד.
קרוב לאלף תיקונים ביום אחד
מיקרוסופט הוציאה את חבילת התיקונים הגדולה בתולדותיה, קרוב לאלף חולשות בבת אחת, ושתיים מהן כבר משמשות תוקפים בפועל. גוגל סגרה 230 חולשות ב-Chrome, ובהן חולשת יום-אפס שנייה באותו מנוע V8 בתוך פחות משבוע. חלק מהלחץ הזה מוסבר בממצא של Proofpoint: ערכת ניצול אחת שמשלבת שתי חולשות ב-Chrome ואחת בווינדוס עברה בתוך שבוע לידיהן של ארבע קבוצות ריגול נפרדות. בצד הארגוני חיישן קלט ניצול בפועל של החולשה שעוקפת את מסך ההתחברות ב-Citrix NetScaler, ולחנויות שרצות על Magento עדיין אין תיקון לחולשה שתוקפים כבר מריצים דרכה קוד.
כשהתוכנה שסומכים עליה היא הדלת
JetBrains פרסמה ביולי תיקון לחולשה בציון 9.8 ב-TeamCity, ושרת אחד שלה עצמה נשאר בלי העדכון. דרכו נכנסו תוקפים לשירות הענן Cadence ומצאו שם גיבוי מ-2024 עם פרטי אימות ל-AWS. אצל Mathspace הדלת לא הייתה באתר שהתלמידים מתחברים אליו אלא בכלי הדוחות הפנימי שהחברה מריצה בעצמה, ומשם נחשפו 1,079,819 תלמידים, הורים ואנשי צוות. גם ההגנה עצמה היא תוכנה: חוקר אנונימי פרסם קוד עובד שמנצל את מנגנון הניקוי של CrowdStrike, קספרסקי ו-Avast כדי להשיג הרשאות מלאות על ווינדוס מעודכן.
מה לקחת מהשבוע הזה
אם אתם עושים דבר אחד אחרי הקריאה הזאת, פתחו את Chrome, היכנסו לתפריט העזרה ואל "אודות Google Chrome", ותנו לו להוריד את העדכון ולהפעיל את עצמו מחדש. שתי חולשות יום-אפס באותו רכיב בחמישה ימים, וערכת ניצול שכבר עברה בין ארבע קבוצות, הופכות את ההפעלה מחדש שנדחית למחר לחלון שמישהו מחפש. והדבר השני, שחזר השבוע משלושה כיוונים שונים: את הקוד שהבנק שולח ב-SMS אף אחד לא אמור לבקש מכם, לא בטלפון, לא בצ'אט ולא בעמוד תשלום. מי שמבקש אותו הוא התוקף.
תגובות